使用 Kubewarden 進行進階策略管理

Kubewarden 是一個策略引擎，用於保護和協助管理你的叢集資源。它允許透過策略對資源請求進行驗證和變更，包括上下文感知策略和驗證映像簽章。它可以在監控或強制模式下執行策略，並提供叢集狀態的概覽。

Kubewarden 旨在透過啟用和簡化策略即程式碼（Policy as Code）成為通用策略引擎。Kubewarden 策略被編譯為 WebAssembly：它們體積小（400KBs ~ 2MBs）、沙箱化、安全且可攜。它旨在透過滿足組織中每個角色的需求而成為通用的：

• 策略使用者：使用 Kubernetes 自訂資源管理和宣告策略，重複使用以 Rego（OPA 和 Gatekeeper）編寫的現有策略。在 CI/CD 中於叢集外測試策略。
• 策略開發人員：使用你偏好的 Wasm 編譯語言（Rego、Go、Rust、C#、Swift、Typescript 等）編寫策略。重複使用你已經知道的工具、函式庫和工作流程生態系統。
• 策略分發者：策略是 OCI artifacts，透過你的 OCI 儲存庫提供它們，並在你的基礎設施中使用產業標準，例如軟體物料清單（Software-Bill-Of-Materials）和 artifact 簽章。
• 叢集操作員：Kubewarden 是模組化的（OCI registry、PolicyServers、Audit Scanner、Controller）。配置你的部署以符合你的需求，隔離不同的租戶。透過 Audit Scanner 和 PolicyReports 獲得整個叢集過去、目前和可能違規的概覽。
• Kubewarden 整合者：將其用作編寫新 Kubewarden 模組和自訂策略的平台。

Kubewarden 與 Rancher

Kubewarden 的上游 Helm charts 已完全整合為 Rancher Apps，為安裝選項提供 UI。這些 charts 還附帶尊重 Rancher 堆疊的預設值（例如：不管制 Rancher 系統命名空間），以及預設的 PolicyServer 和 Policies。使用者可以存取所有 Kubewarden 功能，並可以透過與 Kubernetes API 互動（例如：使用 kubectl）手動部署 PolicyServers 和 Policies。

Kubewarden 提供了已移除的 Kubernetes Pod Security Policies 的完整替代方案。Kubewarden 還透過增強其安全功能，與最新版本 Kubernetes 引入的新 Pod Security Admission 功能整合。

Kubewarden 與 Rancher Prime

可用的 Rancher UI Extension for Kubewarden 將其整合到 Rancher UI 中。UI Extension 自動化 Kubewarden 堆疊的安裝和配置，並配置對 SUSE 維護的策略的存取。UI Extension 提供對精選的即用型策略目錄的存取。使用 UI Extension，可以瀏覽、安裝和配置這些策略。

UI Extension 提供 Kubewarden 堆疊元件及其行為的概覽。這包括存取 Kubewarden 指標和追蹤事件。操作員可以了解策略對叢集的影響並疑難排解問題。

此外，UI Extension 提供 Policy Reporter UI，它提供 Kubernetes 叢集合規性狀態的視覺化概覽。使用此 UI，操作員可以快速識別所有不合規的 Kubernetes 資源，了解違規原因並採取相應行動。 所有這些都有 Rancher Prime 的支援服務。